Windowsマシンでカーネルアクセスを狙う攻撃者は、Microsoftがすでに信頼しているドライバーを持ち込みます。そのドライバーは署名済みで正常にロードされますが、既知の欠陥を抱えています。この欠陥によって、攻撃者はメモリを改ざんしたり、ホストを監視するセキュリティソフトウェアを無効化したりするための余地を得ることになります。
攻撃者がこのレベルのアクセス権を一度手に入れると、マシン上のツールはもはや確実に保護機能を果たせなくなります。ランサムウェア集団はペイロードを展開する前段階としてこの手法を利用しており、これはもともと高度な国家的攻撃者やレッドチームに限られていた戦術でした。
検出ルールの出どころ
「このギャップを埋めるため、Elasticのセキュリティ研究チームであるElastic Security Labs Threat Commandは現在、VirusTotal、LOLDriversカタログ、Microsoftの脆弱なドライバーブロックリストを含む、公開されている脆弱ドライバー情報の開示元を継続的に監視し、検出ルールを自動生成して即座に展開しています」と、Elastic Security Labsは説明しています。
単一の情報源だけではすべてを捕捉できません。このシステムは3つの情報源すべてを確認し、Elasticがすでに対応済みのドライバーを除外したうえで、ドライバーのデジタル署名とファイル特性からルールを構築します。
自動YARAルール生成のワークフロー（出典: Elastic Security Labs）
Elastic Security Labsは長年にわたり脆弱ドライバーへの対応状況を公表してきました。この自動化プロセスは2023年に65件のルールから始まりました。
現在このライブラリは既知の脆弱ドライバー800種以上をカバーしており、その数は今も増え続けています。
遅延こそが攻撃の要
脆弱なドライバーが公になれば、攻撃者はその日のうちにそれを知ります。一方でベンダー側の対応には、製品リリース1回分の期間がかかることもあります。BYOVD（Bring Your Own Vulnerable Driver）はこの時間差につけ込む手法です。
Elasticはこのカバレッジを自社の製品リリースサイクルから切り離しました。3つの情報源のいずれかで脆弱性が報告されたドライバーは、顧客側でのアップデートや設定変更なしに、Elastic Defendが認識するドライバーとなります。
1つのドライバー、2つのキャンペーン
Avastの署名付きアンチルートキットドライバーaswArPot.sysは、攻撃者にカーネルから保護対象プロセスを強制終了する手段を与えてしまいました。このドライバーはCubaランサムウェアの侵入事案やGHOSTENGINEキャンペーンで確認されています。
防御側が確認すべきこと
これらのルールはElastic Securityのマルウェア対策機能を通じて提供されます。Elasticはこの機能を有効化し、「Prevent」モードに設定することを推奨しています。
署名によるカバレッジは対策の一層に過ぎません。Elastic Defendはドライバーのロードが許可される前にブロックリストと照合して検証を行うほか、ある環境に初めて出現したドライバーをその瞬間に検知してフラグを立てます。いずれかの層をすり抜けるように作られたドライバーでも、残りの層は突破しなければなりません。
生成されたルールはすべて公開されています。elastic/protections-artifactsリポジトリには、同社のその他の検出コンテンツと並んでこれらのルールが収録されており、どのドライバーがルールをトリガーしたのか、どの情報源がそれを検知したのか、そして検出ロジック自体を、チームが確認できるようになっています。
そのほか2つの変更点
Elastic Agent Builderには、スキルとして自動トラブルシューティング機能が搭載されました。サードパーティ製アンチウイルスとの競合、ポリシー適用の失敗、アナリストが何時間もログとにらめっこすることになるエラーなどに対応し、根本原因、実行すべきコマンド、収集すべきデータを提示します。既存の自動トラブルシューティング機能はそのまま維持されます。
Elastic DefendはWindows on ARMでも動作するようになりました。Snapdragon搭載ノートPC、Copilot+ PC、ARMワークステーションは既存のポリシーの下で登録され、x64エンドポイントと同じテレメトリを報告します。また、フリートに追加されたデバイスは自動的に登録されます。
署名ベースのルールは、すでに誰かが報告済みのドライバーをカバーするものです。一方、初出現の瞬間にフラグを立てる層は、まだ誰も報告していないドライバーをカバーします。
翻訳元: https://www.helpnetsecurity.com/2026/08/03/elastic-defend-vulnerable-driver-detection/
